Sfruttamento attivo della vulnerabilità di esecuzione di codice remoto in PAN-OS di Palo Alto (CVE-2026-0322)

Palo Alto Networks ha rilasciato aggiornamenti di sicurezza relativi alla vulnerabilità CVE-2026-0322, una vulnerabilità ad alta gravità di tipo "esecuzione remota di codice" (RCE) con autenticazione che interessa l’interfaccia di gestione di PAN-OS. Il fornitore ha confermato che la vulnerabilità è attualmente oggetto di sfruttamento attivo in ambiente reale, con tentativi di sfruttamento osservati che prendono di mira interfacce di gestione esposte.

Se lo sfruttamento va a buon fine, un aggressore autenticato con accesso di rete all’interfaccia di gestione può eseguire codice arbitrario con privilegi di root, causando potenzialmente la compromissione totale del firewall o della piattaforma di gestione Panorama.

La vulnerabilità è stata aggiunta al catalogo CISA delle vulnerabilità note e sfruttate (KEV), a sottolineare l’elevato rischio e la necessità di una correzione prioritaria da parte delle agenzie federali statunitensi.

Dettagli sulla vulnerabilità

Secondo Palo Alto Networks, la vulnerabilità risiede nell'interfaccia di gestione PAN-OS e consente agli aggressori autenticati con accesso alla rete di eseguire comandi arbitrari con privilegi di root.

Versioni corrette

Eseguire l’aggiornamento alle seguenti versioni di PAN-OS o successive:

• PAN-OS 12.2.4+
• PAN-OS 12.1.4-h12+, 12.1.7-h8+, 12.1.10-h2+
• PAN-OS 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+, 11.2.16+
• PAN-OS 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+, 11.1.16-h3+
• PAN-OS 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+, 10.2.18-h12+

Prodotti interessati

I seguenti prodotti sono interessati:

• Firewall serie PA
• Firewall serie VM
• Apparecchiature virtuali Panorama
• Apparecchiature Panorama serie M

I seguenti servizi nonsono interessati:

• Cloud NGFW
• Prisma Access

Indicatori di compromissione osservati

Palo Alto Networks ha identificato i seguenti indirizzi IP come collegati a tentativi di sfruttamento rilevati:

Nota: questi indicatori devono essere considerati esclusivamente come indizi investigativi. Il semplice blocco di questi indirizzi IP non è sufficiente a mitigare la vulnerabilità.

Azioni consigliate

1. Applicare immediatamente una patch ai dispositivi interessati, aggiornandoli a una versione corretta di PAN-OS.
2. Rivedere tutte le interfacce di gestione esposte a Internet.
3. Limitare l'accesso amministrativo esclusivamente alle reti di gestione interne affidabili.
4. Disabilitare l'esposizione diretta a Internet dell'interfaccia di gestione.
5. Esaminare i log di autenticazione alla ricerca di attività sospette da parte degli amministratori.

Palo Alto Networks raccomanda in particolare:

• Limitare l'accesso all'interfaccia di gestione agli indirizzi IP interni affidabili.
• Utilizzare un host di transito dedicato che funga da unico punto di accesso alla gestione.

Ulteriori best practice:

• Applicare l'autenticazione a più fattori (MFA) per tutti gli account amministrativi.
• Implementare la gestione degli accessi privilegiati (PAM).
• Separare il traffico di gestione dalle reti di produzione.
• Abilitare la registrazione completa degli audit e l'acquisizione dei dati nel sistema SIEM.
• Monitorare la presenza di account amministrativi nuovi o modificati.

Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, contattateci per scoprire come proteggere la vostra organizzazione.